Fallos del tipo CWE-266

1284 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-22268MEDIUMDell PowerProtect Data Manager, version(s) prior to 19.22, contain(s) an Incorrect Privilege Assignment vulnerability. A low privileged attaEPSS 0.2%CVE-2026-7709MEDIUMjaneczku Calibre-Web Endpoint kobo_auth.py generate_auth_token improper authorizationEPSS 0.2%CVE-2026-10070MEDIUMmacrozheng mall Super Admin Password update improper authorizationEPSS 0.2%CVE-2020-10728—A flaw was found in automationbroker/apb container in versions up to and including 2.0.4-1. This container grants all users sudoer permissioEPSS 0.2%CVE-2020-35514—An insecure modification flaw in the /etc/kubernetes/kubeconfig file was found in OpenShift. This flaw allows an attacker with access to a rEPSS 0.2%CVE-2024-33503MEDIUMA improper privilege management vulnerability in Fortinet FortiManager Cloud 7.4.1 through 7.4.3, FortiManager Cloud 7.2.1 through 7.2.5, FoEPSS 0.2%CVE-2024-12786HIGHX1a0He Adobe Downloader XPC Service com.x1a0he.macOS.Adobe-Downloader.helper shouldAcceptNewConnection privileges managementEPSS 0.2%CVE-2026-7142MEDIUMWooey API Endpoint scripts.py add_or_update_script improper authorizationEPSS 0.2%CVE-2026-11494MEDIUMTOTOLINK AC1200 T8 vsftpd vsftpd.conf least privilege violationEPSS 0.2%CVE-2026-11439MEDIUMtheonedev Parent Project projects improper authorizationEPSS 0.2%CVE-2026-11336MEDIUMtittuvarghese CollegeManagementSystem Admin admin_page.php improper authorizationEPSS 0.2%CVE-2026-50562CRITICALFastGPT: Untrusted PR artifacts are pushed and deployed by privileged preview workflowsEPSS 0.2%CVE-2026-95594HIGHWordPress SMS Alert Order Notifications plugin <= 4.0.0 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2026-10693MEDIUMSourceCodester Online Boat Reservation System Administrative Endpoint improper authorizationEPSS 0.2%CVE-2026-11441MEDIUMtheonedev Pull Request issues canAccessIssue improper authorizationEPSS 0.2%CVE-2026-11438MEDIUMtheonedev projects improper authorizationEPSS 0.2%CVE-2026-11440MEDIUMtheonedev REST API default-branch improper authorizationEPSS 0.2%CVE-2026-49063HIGHWordPress Listdom plugin <= 5.5.0 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2024-9476MEDIUMPrivilege escalation vulnerability for Organizations in GrafanaEPSS 0.2%CVE-2026-103494MEDIUMIn JetBrains YouTrack before 2026.2.19422 privilege escalation was possible via user group membership changesEPSS 0.2%